移动设备安全接入技术与管理策略
陈智勇
背景介绍
随着现代信息技术的发展，越来越多的企业将日常办公平台逐渐迁移到网络平台、统一应用平台之上。办公网络化、应用集中化的变革带来了资源全局统一调配、业务流程化、办公规范化的巨大优势。
随着智能手机、平板以及无线网络的普及，移动设备和移动互联网带来的移动化不再是一个趋势的概念，它正以不可阻挡之势改变人们的工作方式，成为日常办公的重要工具。利用移动设备，我们可以利用更多的碎片时间处理邮件、流程，查看数据报表，特别是作为政府监管单位，可以借助移动化手段进一步加大监管力度，提高应急处理能力。
面临的问题
(1)企业内部人员在出差或者开会期间也需要接入办公网络，如何保证安全接入方式;
(2)大量企业工作人员需要借助移动终端实现快速现场取证以及回传，如何保证数据传输的安全性;
(3)原有适用于电脑的公文流转系统如何有效迁移到移动终端上;
(4)大量第三方企业也可以通过移动终端实现快速安全数据上报;
(5)大量的移动终端如何实现有效设备管理、内容管理。
一、 方案介绍
随着移动设备越来越多的介入到企业的移动办公乃至企业核心应用领域，数量庞大的移动设备在企业中如何保证其安全接入，移动设备上的企业数据安全如何保障，日益成为IT管理者需要急需解决的问题。移动设备安全接入方案正是为了解决这一系列的问题而推出的解决方案。
移动设备安全接入解决方案，通过软硬件的整合，从移动终端到网络接入提供全方面安全的移动应用体系，提供网络安全，设备完全，应用安全，数据安全的全套解决方案。
二、 系统特点
技术优势
l 算法安全：平台采用国密的SM系列硬件和软件加密算法作为核心引擎(SM1/SM4/SM2)
l 硬件网关：均已通过公安部和国家密码管理局检测和权威认证
l 政策安全：硬件/算法均采用目前国内移动安全领域最高的安全技术标准，符合国家相关安全规定
l 安全TF卡+证书：采用公安部专用的安全TF卡作为移动终端核心认证设备，结合数字证书进行高安全的移动接入身份认证
l 移动办公安全：不仅能实现移动安全接入安全(身份安全+通道安全)，还能实现移动办公应用的数据落地加密和移动终端管理
l VPN支持：支持主流VPN协议，支持SSL
l 标准SDK接口：可提供标准移动安全接入平台 SDK接口，可与应用紧密集合，基于应用系统平台框架可构建安全、有效的移动办公应用解决方案
l 兼容性强：平台支持Android、IOS、Windows主流系统
三、 核心功能
1. 移动安全接入
移动安全接入具备以下特点：
n 身份认证安全： 用户名和密码、证书/ 动态口令认证、 安全TF卡复合认证;
n 数据传输加密： 采用国家商用密码SM1/SM4/SM2算法为核心引擎、支持 BF、SSL等国际标准算法/协议进行网络信道加密;
n 应用访问安全：可以基于用户角色进行安全访问控制的设定，保证用户权限的统一集中运维管理;
n 设备可靠： 移动安全接入网关是经国家商用密码管理局检测认证的硬件设备，支持网络数据包的高速加解密，实现系统配置管理等功能，支持负载均衡和多机热备， 具备优良的网络适应能力;
2. 移动应用安全
n 移动安全应用：安全浏览器、安全邮件、安全阅读器等安全组件;针对行业级专属应用，可定制化开发
n 文件存储控制：文件存储路径逻辑加固处置(存储安全区)
n 移动应用数据存储加密：应用过程与结果数据加密保护
n 广泛应用支撑：基于安全支撑框架SDK的开放式系统架构，可灵活调用
3. 移动终端管理
n 集中化外设管理，与设备厂商联动可实现对蓝牙、红外、WIFI、存储卡等实现实停用控制;
n 自动检测终端环境，判断当前终端状态是否合规/越狱，实时进行隔离和预警，为远程管理提供依据;
n 支持终端数据的远程销毁管理;
n 提供日志审计，方便事后查看;
移动设备安全策略
3.1物理安全策略
在机场、图书馆等公共场所中，注意看管好自己的物品，不要让移动设备离开自己的视线。不要将移动设备存放在没有人照看的汽车中，以防被盗。其他一些防盗措施包括：
(1)记录设备的有关的细节信息：如电话号码、品牌型号、颜色外观、设备ID号、GSM手机的IMEI号码、PIN号码等。
(2)用记号笔在设备和电池上做上标记。如可以写下住址的单元号码、生日日期等等。
(3)启用PIN或者安全锁密码，锁住移动设备
(4)将移动设备的IMEI号码在运营商那里进行注册，一旦设备被盗，可以申请运营商阻断被盗设备。这样做的风险是即使找回被盗设备也无法继续使用了。
另外，采取一定技术手段，一旦移动设备被盗，可以顺利地定位被盗设备的位置。例如可以在移动设备上安装追踪定位软件，当被盗设备接入互联网，它会悄悄地与公司的监控中心联系，公司可以在权威部门的配合下追踪并收回被盗设备。
3.2网络安全策略
在网络接入层对移动设备进行准入认证。安装了指定客户端安全检查软件的移动设备才准予接入网络。这个策略与固定终端网络环境下的要求是一致的。所不同的是，对于移动设备多数情况下使用无线链路，为了避免移动设备接入到欺诈网络，对无线设备的准入控制应该是双向的，即符合准入条件的可以接入企业内网，同时也不能随便接入未经认证的网络。这种阻止移动终端接入非认证网络的工作机制同样是依靠客户端软件与认证服务器之间的通讯进行准入判断。
3.3操作系统及应用程序安全策略
操作系统的安全策略主要包括三个方面，一是正确进行配置，避免因为配置缺陷而遭受攻击。二是避免随意安装未经安全认证的应用程序。三是及时进行系统更新和应用程序的版本升级。为了实现上述目标，应该：
(1)在企业内部建立移动设备的应用程序库，程序库中的应用程序都是经验过安全验证，证实没有安全问题的。移动设备只能从应用程序库中下载安装程序。
(2)为移动设备提供转译服务，避免在移动设备的本地打开附件。
(3)此外还应对移动设备的配置定期进行渗透测试和配置核查，以及时发现移动设备上的各种脆弱性。
3.4数据安全策略
数据安全策略的目的是防止静止和传输中的数据泄露。这些策略包括数据存储和清除以及通信数据的加密两个方面：
(1)企业应该明确规定机密数据范围以及可存放于移动设备的数据的范围。
(2)要求机密数据必须存储于加密空间。
(3)支持远程删除丢失或遭窃设备中的数据。
(4)对重要业务系统的访问需要通过加密通道。
(5)从公网访问企业内网，必须通过VPN链路。
3.5安全管理策略与实践
在固定终端设备中的一些安全管理要求，同样适用于对移动设备的管理。例如对密码口令设置的要求(口令的强度要求以及更换周期等)。
应该以书面形式将前述的各个层面的安全策略以正式的文档公布出来，并要求使用移动设备的员工签订安全责任书，以正式明确相关义务。
落实执行前述安全策略，需要有一套IT支撑系统，从技术上保证对移动设备的统一监控和管理。通常称这个系统称为移动设备管理(MDM，Mobile Device Management)系统。
